kontrola UODO

Kontrola UODO to czynności sprawdzające prowadzone przez organ nadzorczy w zakresie ochrony danych osobowych.

Zakres czynności kontrolnych UODO w środowisku IT

Kontrola UODO może obejmować sprawdzenie, w jaki sposób organizacja przetwarza dane osobowe przy użyciu laptopów, komputerów stacjonarnych, aplikacji, systemów operacyjnych, nośników danych i usług sieciowych. Organ nadzorczy może żądać informacji o celach przetwarzania, podstawie prawnej, kategoriach danych, odbiorcach danych, okresach przechowywania oraz osobach mających dostęp do konkretnych zasobów. W praktyce znaczenie ma nie tylko treść wewnętrznych procedur, lecz także zgodność tych procedur z rzeczywistą konfiguracją urządzeń i systemów.

Techniczna część kontroli może dotyczyć między innymi ewidencji komputerów, sposobu nadawania uprawnień, stosowania uwierzytelniania, szyfrowania dysków, aktualizacji oprogramowania, ochrony przed złośliwym oprogramowaniem oraz wykonywania kopii zapasowych. Analizowane mogą być również logi systemowe, rejestry dostępu, historia zmian uprawnień i dokumentacja incydentów. Sam fakt posiadania programu antywirusowego albo zapory sieciowej nie przesądza o prawidłowości zabezpieczeń, ponieważ konieczne jest ustalenie, czy mechanizmy te są aktywne, aktualne i adekwatne do przetwarzanych danych.

Dowody techniczne wymagane podczas weryfikacji

Podczas kontroli istotne są dowody pozwalające odtworzyć sposób działania środowiska informatycznego. Mogą nimi być raporty z systemów zarządzania urządzeniami, listy kont użytkowników, konfiguracja grup uprawnień, wyniki aktualizacji, rejestry logowania oraz informacje o szyfrowaniu nośników. W przypadku komputerów z systemem Windows przydatne mogą być między innymi dzienniki zdarzeń systemu Windows, zasady blokady kont, konfiguracja zapory oraz informacje o aktywności mechanizmów ochrony. W przypadku innych systemów operacyjnych zakres dostępnych rejestrów będzie zależał od użytej dystrybucji, konfiguracji i zainstalowanych narzędzi.

Dokumentacja techniczna powinna być spójna z konfiguracją urządzeń. Jeżeli procedura przewiduje odbieranie dostępu po odejściu pracownika, kontrola może obejmować porównanie daty zakończenia uprawnień z rejestrem logowań i stanem konta. Jeżeli wymagane jest ograniczenie dostępu do określonych katalogów, można sprawdzić uprawnienia systemu plików, członkostwo w grupach oraz dzienniki prób dostępu. Znaczenie ma także integralność dowodów: raport powinien wskazywać źródło, zakres czasowy, sposób wygenerowania i osobę odpowiedzialną za jego zabezpieczenie. Nie należy modyfikować logów ani usuwać danych potrzebnych do wyjaśnienia zdarzeń.

Uprawnienia, logi i ślady incydentów

Jednym z obszarów technicznej analizy jest zasada minimalnych uprawnień, czyli przyznawanie użytkownikowi wyłącznie takiego dostępu, jaki jest potrzebny do wykonywania jego zadań. Kontrola może wykazać rozbieżności między zakresem obowiązków a uprawnieniami do folderów, baz danych, poczty elektronicznej lub aplikacji. Ryzyko zwiększa wspólne korzystanie z jednego konta, brak wieloskładnikowego uwierzytelniania tam, gdzie jest dostępne, pozostawione aktywne konta byłych użytkowników oraz używanie lokalnych kont administratora bez kontroli ich wykorzystania.

Logi powinny umożliwiać ustalenie co najmniej tego, jakie konto wykonało operację, kiedy do niej doszło i jakiego zasobu dotyczyła. Warto zweryfikować synchronizację czasu na urządzeniach, ponieważ różnice zegarów utrudniają korelację zdarzeń. Należy również określić, jak długo dzienniki są przechowywane, kto może je odczytywać i czy ich usunięcie lub zmiana jest rejestrowana. W razie podejrzenia naruszenia bezpieczeństwa przydatne są informacje o pierwszym wykryciu zdarzenia, podjętych działaniach, odłączonych urządzeniach, zmianie haseł, przywróceniu kopii zapasowej i dalszym monitorowaniu systemu. Brak śladów może wynikać zarówno z incydentu, jak i z nieprawidłowo skonfigurowanego logowania.

Przygotowanie urządzeń i dokumentacji do kontroli

Przygotowanie do kontroli powinno rozpocząć się od ustalenia, gdzie faktycznie znajdują się dane i jakie urządzenia mają do nich dostęp. Pomocne jest sporządzenie aktualnej listy laptopów, komputerów stacjonarnych, dysków zewnętrznych, urządzeń sieciowych i używanych aplikacji. Dla każdego zasobu warto wskazać właściciela, użytkowników, zakres uprawnień, sposób aktualizacji oraz metodę wykonywania kopii zapasowych. Następnie można porównać te informacje z rzeczywistym stanem systemów, zamiast opierać się wyłącznie na nieaktualnej dokumentacji.

Przed przekazaniem materiałów należy zabezpieczyć dane przed przypadkową utratą i zachować oryginalne pliki konfiguracyjne oraz eksporty logów. Nie powinno się tworzyć pozornych zapisów po fakcie ani zmieniać ustawień wyłącznie po to, aby ukryć wcześniejsze nieprawidłowości. Jeżeli analiza wykaże brak aktualizacji, nadmiarowe uprawnienia albo niewystarczające logowanie, właściwym działaniem jest opisanie problemu, ustalenie przyczyny i udokumentowanie planu korekty. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC oraz diagnostyką ich podzespołów; techniczna kontrola UODO pozostaje natomiast oceną organizacji przetwarzania danych i zabezpieczeń w używanym środowisku.